{"id":141439,"date":"2025-08-24T11:11:56","date_gmt":"2025-08-24T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","title":{"rendered":"Ataque a extens\u00f5es de navegador com gerenciadores de senhas utilizando clickjacking","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Na confer\u00eancia DEF CON 33, foi apresentado um m\u00e9todo de ataque a extens\u00f5es de navegador que inserem seus elementos de interface na p\u00e1gina exibida. A aplica\u00e7\u00e3o do ataque a extens\u00f5es com gerenciadores de senhas pode resultar na exposi\u00e7\u00e3o de informa\u00e7\u00f5es armazenadas nesses gerenciadores, como credenciais de autentica\u00e7\u00e3o, dados de cart\u00f5es de cr\u00e9dito, informa\u00e7\u00f5es pessoais e senhas \u00fanicas para autentica\u00e7\u00e3o em duas etapas. O problema afeta todos os gerenciadores de senha testados, incluindo 1Password, Bitwarden, LastPass, KeePassXC-Browser, NordPass, ProtonPass e Keeper. <\/p>\n
O m\u00e9todo de ataque baseia-se no fato de que as extens\u00f5es de navegador inserem um di\u00e1logo solicitando a autocompleta\u00e7\u00e3o da senha diretamente na p\u00e1gina exibida, integrando seus elementos ao DOM (Document Object Model) dessa p\u00e1gina. Se o atacante tiver a capacidade de executar seu c\u00f3digo JavaScript na p\u00e1gina, por exemplo, explorando uma vulnerabilidade XSS no site, ele pode manipular todos os elementos no DOM, incluindo as extens\u00f5es de navegador inseridas. <\/p>\n
Entre outras coisas, h\u00e1 a possibilidade de tornar o di\u00e1logo de confirma\u00e7\u00e3o transparente e spatialmente alinhar o bot\u00e3o nesse di\u00e1logo com o bot\u00e3o de um di\u00e1logo falso, criado pelo atacante e que induz o usu\u00e1rio a clicar. Di\u00e1logos falsos podem incluir solicita\u00e7\u00f5es fraudulentas para permiss\u00f5es de cookies, banners publicit\u00e1rios ou formul\u00e1rios com CAPTCHA. Ao posicionar o di\u00e1logo falso sob o di\u00e1logo transparente do gerenciador de senhas e alinhar a localiza\u00e7\u00e3o dos bot\u00f5es na tela, \u00e9 poss\u00edvel fazer com que o clique do usu\u00e1rio acabe na confirma\u00e7\u00e3o de preenchimento das credenciais no di\u00e1logo do gerenciador de senhas, apesar de o usu\u00e1rio pensar que clicou, por exemplo, no bot\u00e3o de fechar uma janela publicit\u00e1ria.
<\/center> <\/p>\n
O ataque consiste nos seguintes passos: <\/p>\n
\n
Cria\u00e7\u00e3o de um elemento intrusivo na p\u00e1gina, incentivando o clique.\n
Adi\u00e7\u00e3o de um formul\u00e1rio web para login ou preenchimento de dados pessoais.\n
Defini\u00e7\u00e3o de transpar\u00eancia para formul\u00e1rio web («opacity: 0.001» em CSS).\n
Uso do m\u00e9todo focus() para definir o foco no campo dentro do formul\u00e1rio, levando \u00e0 ativa\u00e7\u00e3o do di\u00e1logo de autocompleta\u00e7\u00e3o do gerenciador de senhas.\n
Busca pelo di\u00e1logo de gerenciador de senhas que apareceu no DOM e aplica\u00e7\u00e3o de transpar\u00eancia a ele.\n
Espera pelo clique do usu\u00e1rio em um elemento vis\u00edvel e intrusivo na p\u00e1gina, que, ao juntar elementos vis\u00edveis e invis\u00edveis, levar\u00e1 ao clique em um bot\u00e3o em um di\u00e1logo transparente e ao preenchimento dos campos pelo gerenciador de senhas.\n
Extra\u00e7\u00e3o de dados de um formul\u00e1rio web preenchido e envio destes para o servidor do atacante. <\/ul>\n
Como o preenchimento autom\u00e1tico dos par\u00e2metros de autentica\u00e7\u00e3o no gerenciador de senhas \u00e9 ativado apenas para sites nos quais esses par\u00e2metros foram salvos, para realizar o ataque \u00e9 necess\u00e1rio ter a capacidade de executar seu c\u00f3digo JavaScript no site atacado ou em um subdom\u00ednio. Assim, para o ataque, \u00e9 necess\u00e1rio obter um subdom\u00ednio no mesmo dom\u00ednio que o site atacado ou encontrar uma vulnerabilidade XSS no site que permita injetar seu c\u00f3digo no conte\u00fado entregue ao usu\u00e1rio. <\/p>\n
Observa-se que muitos usu\u00e1rios utilizam um \u00fanico gerenciador de senhas tanto para armazenar os par\u00e2metros de login quanto para gerar senhas tempor\u00e1rias para autentica\u00e7\u00e3o em duas etapas, o que possibilita o uso do m\u00e9todo de ataque quando se preenche automaticamente senhas tempor\u00e1rias. Como exemplo, \u00e9 demonstrado um ataque ao site issuetracker.google.com, que cont\u00e9m uma vulnerabilidade XSS. Para obter os par\u00e2metros de login e o c\u00f3digo para autentica\u00e7\u00e3o em duas etapas, basta enviar ao usu\u00e1rio um link que explore a vulnerabilidade XSS e conseguir tr\u00eas cliques atrav\u00e9s da inser\u00e7\u00e3o de solicita\u00e7\u00f5es intrusivas fict\u00edcias (autoriza\u00e7\u00e3o para processamento de Cookies, autoriza\u00e7\u00e3o para personaliza\u00e7\u00e3o e consentimento com a pol\u00edtica de privacidade).
![\"Ataque](\"\/wp-content\/uploads\/2025\/08\/9df2f88789928b98278bb49ac8522c38.png\")
<\/center> <\/p>\n